Google odrzucił nagrodę za krytyczną lukę w chmurze. „Pracujemy zgodnie z przeznaczeniem”
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0. Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0.
Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
Incydent uwypukla napięcia w ekosystemie bug bounty Google — w maju 2026 firma obniżyła nagrody za błędy w Chrome, tłumacząc to zalewem zgłoszeń generowanych przez AI.
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnThe ConfigConfusion vulnerability allows a Kubernetes namespace user to bypass GCP IAM controls and escalate to full organization-level admin rights.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
openai.com
W jednej z najbardziej zagadkowych decyzji polityki bezpieczeństwa tego roku Google odmówiło wypłaty nagrody za krytyczną, wciąż niezałataną lukę w swoim narzędziu Cloud Config Connector — po tym, jak początkowo pochwaliło badacza i nadało błędowi najwyższą możliwą wagę. Sprawa, opisana przez The Register, stawia pod znakiem zapytania zaangażowanie Google na rzecz zaufania badaczy oraz sposób traktowania błędów w infrastrukturze chmurowej .
Luka ConfigConfusion
Badacz bezpieczeństwa Justin O'Leary odkrył krytyczny błąd w Config Connector — otwartoźródłowym dodatku do Kubernetesa, który pozwala organizacjom zarządzać całym środowiskiem Google Cloud przez Kubernetes . O'Leary nazwał lukę .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Google odrzucił nagrodę za krytyczną lukę w chmurze. „Pracujemy zgodnie z przeznaczeniem”"?
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0.
What are the key points to validate first?
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0. Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
What should I do next in practice?
Incydent uwypukla napięcia w ekosystemie bug bounty Google — w maju 2026 firma obniżyła nagrody za błędy w Chrome, tłumacząc to zalewem zgłoszeń generowanych przez AI.
Google odrzucił nagrodę za krytyczną lukę w chmurze. „Pracujemy zgodnie z przeznaczeniem”
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0. Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0.
Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
Incydent uwypukla napięcia w ekosystemie bug bounty Google — w maju 2026 firma obniżyła nagrody za błędy w Chrome, tłumacząc to zalewem zgłoszeń generowanych przez AI.
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnThe ConfigConfusion vulnerability allows a Kubernetes namespace user to bypass GCP IAM controls and escalate to full organization-level admin rights.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
openai.com
W jednej z najbardziej zagadkowych decyzji polityki bezpieczeństwa tego roku Google odmówiło wypłaty nagrody za krytyczną, wciąż niezałataną lukę w swoim narzędziu Cloud Config Connector — po tym, jak początkowo pochwaliło badacza i nadało błędowi najwyższą możliwą wagę. Sprawa, opisana przez The Register, stawia pod znakiem zapytania zaangażowanie Google na rzecz zaufania badaczy oraz sposób traktowania błędów w infrastrukturze chmurowej .
Luka ConfigConfusion
Badacz bezpieczeństwa Justin O'Leary odkrył krytyczny błąd w Config Connector — otwartoźródłowym dodatku do Kubernetesa, który pozwala organizacjom zarządzać całym środowiskiem Google Cloud przez Kubernetes . O'Leary nazwał lukę .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Google odrzucił nagrodę za krytyczną lukę w chmurze. „Pracujemy zgodnie z przeznaczeniem”"?
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0.
What are the key points to validate first?
Badacz Justin O'Leary odkrył krytyczny bypass uwierzytelniania IAM w Google Cloud Config Connector (ConfigConfusion) o ocenie CVSS 10.0. Google początkowo określiło lukę jako P1/S1 (najwyższy priorytet) i napisało „Nice catch!”, by 11 dni później stwierdzić, że to „zamierzone działanie” i odmówić wypłaty nagrody.
What should I do next in practice?
Incydent uwypukla napięcia w ekosystemie bug bounty Google — w maju 2026 firma obniżyła nagrody za błędy w Chrome, tłumacząc to zalewem zgłoszeń generowanych przez AI.
Szczegóły techniczne: Config Connector nie przeprowadza kontroli autoryzacji, gdy użytkownik przestrzeni nazw (namespace) w Kubernetesie próbuje zarządzać zasobami GCP. Pozwala to każdemu kontu usługowemu Config Connector z uprawnieniami na poziomie organizacji na ominięcie mechanizmów IAM (Identity and Access Management) GCP i eskalację do najwyższego poziomu kontroli — roles/owner — nad całą organizacją GCP, czyli głównym węzłem wszystkich zasobów firmy w Google Cloud . O'Leary ocenia lukę na CVSS 10.0, maksymalny poziom dotkliwości, ponieważ atakujący z podstawowym dostępem do przestrzeni nazw K8s może uzyskać pełną kontrolę administracyjną nad całym środowiskiem chmurowym organizacji i wszystkimi przechowywanymi w nim danymi .
Sprzeczna odpowiedź Google
Historia odpowiedzi Google to ciąg zapierających dech w piersiach sprzeczności.
Faza 1 — "Nice Catch!" O'Leary zgłosił błąd do Google 8 marca 2026. 27 marca inżynier ochrony z Google zaakceptował zgłoszenie i napisał mu "Nice Catch!" . Inżynier poinformował, że przekazał błąd odpowiedniemu zespołowi produktowemu i zapewnił O'Leary'ego, że będą współpracować z Google Cloud w celu naprawy usterki, pisząc: „Będziemy współpracować z zespołem produktowym, aby zapewnić rozwiązanie tego problemu. Poinformujemy Cię, gdy problem zostanie naprawiony” . Google nadało błędowi priorytet P1 (najwyższy) i dotkliwość S1 (krytyczny — wpływa na duży odsetek użytkowników i może zakłócić podstawowe funkcje organizacji) .
Faza 2 — „Działa zgodnie z przeznaczeniem.”7 kwietnia — 11 dni później — O'Leary otrzymał wiadomość od bota ochrony Google odwracającą decyzję . Panel Cloud Vulnerability Reward Program stwierdził, że „wpływ tej kwestii na bezpieczeństwo nie spełnia kryteriów kwalifikujących do nagrody”, a oprogramowanie „działa zgodnie z przeznaczeniem” . Google odmówiło wypłaty nagrody.
Sprzeczność: Według raportu The Register z 18 czerwca, wewnętrzny system śledzenia błędów Google wciąż klasyfikował ConfigConfusion jako P1/S1 ze statusem „w toku (zaakceptowany)” — co jest sprzeczne z publicznym stanowiskiem, że luka nie istnieje .
Nierozwiązany status
Według stanu na połowę czerwca 2026 — ponad trzy miesiące od pierwotnego zgłoszenia — luka wciąż pozostaje niezałatana i nierozwiązana . O'Leary opublikował wpis na blogu z pełnymi szczegółami technicznymi na stronie olearysec.com .
Zmiany w VRP Google w 2026 — szerszy kontekst
Na początku maja 2026 Google gruntownie zmieniło swoje programy nagradzania za błędy (VRP) dla Chrome i Androida, wyraźnie powołując się na wzrost wykorzystania narzędzi AI w odkrywaniu luk .
Kluczowe zmiany:
Wypłaty za błędy w Chrome spadły w większości kategorii. Google uzasadniło to, że narzędzia AI mogą łatwo generować duże ilości zgłoszeń niższej jakości, więc restrukturyzuje nagrody w kierunku błędów o większym wpływie i trudniejszych do zautomatyzowania .
Maksymalne wypłaty za błędy w Androidzie wzrosły — za pełny łańcuch exploitów Titan M2 typu zero-click z trwałością można teraz otrzymać do 1,5 miliona dolarów.
Liczba publikowanych przez Chrome CVE wzrosła czterokrotnie rok do roku (z 52 na początku maja 2025 do 252 na początku maja 2026), co Google przytoczyło jako dowód fali zgłoszeń generowanych przez AI .
Krytycy zwracają uwagę na niezręczny kontrast: Google obniża wypłaty za błędy w Chrome z powodu „szumu AI”, jednocześnie odmawiając nagrody ludzkiemu badaczowi za starannie zgłoszony, krytyczny błąd w infrastrukturze chmurowej o ocenie CVSS 10.0, uznając go za „działający zgodnie z przeznaczeniem” — decyzję, którą wielu w społeczności bezpieczeństwa uznało za krótkowzroczną i szkodliwą dla zaufania badaczy .
Szczegóły techniczne: Config Connector nie przeprowadza kontroli autoryzacji, gdy użytkownik przestrzeni nazw (namespace) w Kubernetesie próbuje zarządzać zasobami GCP. Pozwala to każdemu kontu usługowemu Config Connector z uprawnieniami na poziomie organizacji na ominięcie mechanizmów IAM (Identity and Access Management) GCP i eskalację do najwyższego poziomu kontroli — roles/owner — nad całą organizacją GCP, czyli głównym węzłem wszystkich zasobów firmy w Google Cloud . O'Leary ocenia lukę na CVSS 10.0, maksymalny poziom dotkliwości, ponieważ atakujący z podstawowym dostępem do przestrzeni nazw K8s może uzyskać pełną kontrolę administracyjną nad całym środowiskiem chmurowym organizacji i wszystkimi przechowywanymi w nim danymi .
Sprzeczna odpowiedź Google
Historia odpowiedzi Google to ciąg zapierających dech w piersiach sprzeczności.
Faza 1 — "Nice Catch!" O'Leary zgłosił błąd do Google 8 marca 2026. 27 marca inżynier ochrony z Google zaakceptował zgłoszenie i napisał mu "Nice Catch!" . Inżynier poinformował, że przekazał błąd odpowiedniemu zespołowi produktowemu i zapewnił O'Leary'ego, że będą współpracować z Google Cloud w celu naprawy usterki, pisząc: „Będziemy współpracować z zespołem produktowym, aby zapewnić rozwiązanie tego problemu. Poinformujemy Cię, gdy problem zostanie naprawiony” . Google nadało błędowi priorytet P1 (najwyższy) i dotkliwość S1 (krytyczny — wpływa na duży odsetek użytkowników i może zakłócić podstawowe funkcje organizacji) .
Faza 2 — „Działa zgodnie z przeznaczeniem.”7 kwietnia — 11 dni później — O'Leary otrzymał wiadomość od bota ochrony Google odwracającą decyzję . Panel Cloud Vulnerability Reward Program stwierdził, że „wpływ tej kwestii na bezpieczeństwo nie spełnia kryteriów kwalifikujących do nagrody”, a oprogramowanie „działa zgodnie z przeznaczeniem” . Google odmówiło wypłaty nagrody.
Sprzeczność: Według raportu The Register z 18 czerwca, wewnętrzny system śledzenia błędów Google wciąż klasyfikował ConfigConfusion jako P1/S1 ze statusem „w toku (zaakceptowany)” — co jest sprzeczne z publicznym stanowiskiem, że luka nie istnieje .
Nierozwiązany status
Według stanu na połowę czerwca 2026 — ponad trzy miesiące od pierwotnego zgłoszenia — luka wciąż pozostaje niezałatana i nierozwiązana . O'Leary opublikował wpis na blogu z pełnymi szczegółami technicznymi na stronie olearysec.com .
Zmiany w VRP Google w 2026 — szerszy kontekst
Na początku maja 2026 Google gruntownie zmieniło swoje programy nagradzania za błędy (VRP) dla Chrome i Androida, wyraźnie powołując się na wzrost wykorzystania narzędzi AI w odkrywaniu luk .
Kluczowe zmiany:
Wypłaty za błędy w Chrome spadły w większości kategorii. Google uzasadniło to, że narzędzia AI mogą łatwo generować duże ilości zgłoszeń niższej jakości, więc restrukturyzuje nagrody w kierunku błędów o większym wpływie i trudniejszych do zautomatyzowania .
Maksymalne wypłaty za błędy w Androidzie wzrosły — za pełny łańcuch exploitów Titan M2 typu zero-click z trwałością można teraz otrzymać do 1,5 miliona dolarów.
Liczba publikowanych przez Chrome CVE wzrosła czterokrotnie rok do roku (z 52 na początku maja 2025 do 252 na początku maja 2026), co Google przytoczyło jako dowód fali zgłoszeń generowanych przez AI .
Krytycy zwracają uwagę na niezręczny kontrast: Google obniża wypłaty za błędy w Chrome z powodu „szumu AI”, jednocześnie odmawiając nagrody ludzkiemu badaczowi za starannie zgłoszony, krytyczny błąd w infrastrukturze chmurowej o ocenie CVSS 10.0, uznając go za „działający zgodnie z przeznaczeniem” — decyzję, którą wielu w społeczności bezpieczeństwa uznało za krótkowzroczną i szkodliwą dla zaufania badaczy .
theregister.comGoogle told researcher 'Nice catch!' Then denied bug bounty for flaw ...
pcper.comGreat, Now Google Is Getting Miserly On Bug Bounties - PC Perspective
letsdatascience.comAI Powers Rapid Exploit Discovery, Outpacing Patch Response
securityweek.comGoogle Adjusts Bug Bounties: Chrome Payouts Drop as ...